- Yama var
- Son 7 gün
- CWE-78
CVE-2026-77880
Control Web Panel (CWP) 1.16 öncesi /newpass/ üzerinden OS komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sunucuları yöneten bir panelde yönetici yetkisine yakın bir erişim sağladığı için yüksek risk taşır. Etkilenen sunucular tamamen ele geçirilebilir ve müşteri verileri ile iş sürekliliği tehlikeye girebilir. Panelin güncellenmesi acil bir öncelik olmalıdır.
ÖzetTürkçe
Control Web Panel (CWP) sunucu yönetim panelinin 1.16 sürümünden önceki sürümlerinde, loopback API üzerindeki parola değiştirme yolu /newpass/ içinde OS komut enjeksiyonu açığı bulunmaktadır. Bu yol root yetkisiyle çalıştığı için açık, panelin kurulu olduğu sunucuları etkiler. Saldırgan, POST isteğindeki 'user' parametresini kaçış karakterleri uygulanmadan kabuk komutuna aktarılacak şekilde değiştirebilir.
Saldırgan ne yapabilir?
Kimlik doğrulaması yapılmış bir saldırgan, bu açıkla root yetkisiyle rastgele işletim sistemi komutları çalıştırabilir ve uzaktan kod çalıştırma elde edebilir. Sunucunun tamamen ele geçirilmesi, veri sızdırılması ve değiştirilmesi mümkündür.
Kaynaktaki açıklama (İngilizce)
Control Web Panel (CWP) before webpanel_version 1.16 contains an OS command injection vulnerability in the loopback API password change route /newpass/, which runs as root. An attacker can inject arbitrary OS commands by manipulating the POST 'user' parameter that is passed unescaped into a shell command, achieving remote code execution with root privileges.
Ne yapmalı?
- Control Web Panel'i 1.16 veya sonraki bir sürüme güncelleyin. Üretici
- Güncelleme tamamlanana kadar panele erişimi güvenilir ağlarla ve IP kısıtlamalarıyla sınırlandırın. Genel öneri
- Sunucuda beklenmeyen root oturumları, yeni kullanıcılar ve olağandışı süreçler için sistem ve web erişim kayıtlarını inceleyin. Genel öneri
Ek önlemler
- Yönetim paneli erişimini yalnızca belirli IP adreslerine ve VPN üzerinden izin verin. Genel öneri
- Paneli ve işletim sistemini düzenli olarak güncel tutun ve güvenlik duyurularını takip edin. Genel öneri
- Yetkisiz parola değiştirme denemeleri için web sunucusu ve sistem günlüklerini izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Control Web Panel | < 1.16 | 1.16 |
Kaynaklar4 kaynak
Kayıt geçmişi
- CVSS puanı değişti: 7.8 → 8.4
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.